Política de Segurança da Informação

Esta política abrange todo o ciclo de vida da informação no CREF11/MS, incluindo sua criação, acesso, armazenamento, transmissão e descarte seguro. Suas diretrizes aplicam- se integralmente a todos os colaboradores (efetivos, comissionados, estagiários ou terceirizados), prestadores de serviços, parceiros, conselheiros e quaisquer indivíduos com acesso aos dados do Conselho, independentemente de sua localização geográfica.

O escopo estende-se, ainda, a todos os sistemas, aplicativos, redes, equipamentos e instalações físicas ou em nuvem que processem ou hospedem essas informações, sejam eles de propriedade do CREF11/MS, de uso pessoal (BYOD) ou fornecidos por terceiros.

dano para um sistema ou organização.

executados ou interpretados por um Recurso de Tecnologia da Informação e Comunicação, armazenados em um dispositivo ou na nuvem, que são usados para troca rápida de mensagens, conteúdos e informações multimídia.

ou se constitua de forma abstrata, mas registrável ou perceptível, a exemplo, mas não se limitando a: dados, reputação, imagem, marca e conhecimento.

em vários locais, em suporte eletrônico ou físico.

possa ser restaurado em caso de perda dos dados originais, o que pode envolver eventuais remoções acidentais ou dados corrompidos.

colaboradores utilizarem seus próprios dispositivos pessoais, como smartphones e notebooks, para acessar sistemas e informações do Conselho de forma produtiva e segura.

Jurídica (empresa/academia cadastrada) que se relaciona com as atividades e serviços prestados pelo CREF11/MS.

funções gerenciais, empregados públicos diretos, contratados terceirizados, prestadores de serviços, estagiários e jovens aprendizes que desenvolvem atividades no CREF11/MS.

aqueles expressamente autorizados e que sejam devidamente protegidas do conhecimento alheio.

móveis por meio do navegador de internet (browser). Permitem que, durante um período de tempo, um website "se lembre" das ações e preferências registradas em nome do usuário.

Mato Grosso do Sul.

identificável, como: Nome e sobrenome, Idade (Data de Nascimento), Endereço, E-mail, Endereço de IP, Número de Identidade, CPF, Registro Profissional (CREF), Passaporte, entre outros.

dados pessoais com as seguintes características: convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou

político, dados referentes à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma Pessoa Física.

e assegurar a conformidade com a Política de Proteção de Dados e requisitos legais/regulamentares aplicáveis, atuando também como o canal principal com os Titulares dos Dados e a Agência Nacional de Proteção de Dados (ANPD).

devido à sua portabilidade, com capacidade de registro, armazenamento ou processamento de informações, além da possibilidade de estabelecer conexões com a Internet e outros sistemas, redes ou dispositivos.

de armazenar informações que podem ser removidas do equipamento, possibilitando a portabilidade dos dados, como pen drives, HDs externos, cartões de memória, CDs e DVDs.

operação.

classificação, divulgação, compartilhamento, eliminação e destruição da informação. Também é incumbido da gestão de validação, liberação e cancelamento dos acessos a essa informação.

Tecnologia da Informação e Comunicação para serem utilizados dentro do ambiente da organização.

composta por seu nome de usuário (login) e senha ou por outros mecanismos de identificação e autenticação como crachá magnético, certificado digital, token e biometria.

certos colaboradores. Exemplo: dados da folha de pagamento, processos ético- disciplinares, planejamento estratégico, dados fiscais ou sigilosos.

deliberações publicadas no Diário Oficial, campanhas orientativas, notas de esclarecimento e informações disponibilizadas no Portal da Transparência.

colaboradores do CREF11/MS para execução de seu trabalho rotineiro, não

destinada ao público externo sem prévia autorização. Exemplos: procedimentos operacionais padrão, e-mails corporativos, comunicados internos e materiais administrativos diários.

de caráter aberto e colaborativo, acessível por meio de dispositivos com conexão e autorizações suficientes.

os direitos de acesso e permissões dos usuários ao mínimo estritamente necessário para a execução de suas funções específicas.

comunicações fraudulentas (e-mails, SMS, sites falsos) para enganar pessoas e induzi-las a revelar informações confidenciais ou baixar anexos maliciosos.

de uma organização, tornando-os inacessíveis, exigindo o pagamento de resgate em troca da chave de liberação dos dados.

como Google Drive, OneDrive, Dropbox, iCloud, Box, etc.

origem de uma comunicação (como e-mail ou IP) para se passar por uma fonte legítima.

da ação do usuário para ser executado e propagado.

redes explorando vulnerabilidades, sem necessidade de anexar-se a arquivos ou de ação do usuário.

Todos os colaboradores e usuários das redes e sistemas do CREF11/MS devem conhecer os princípios desta política e as normas complementares aplicáveis às suas respectivas áreas de atuação. É responsabilidade de cada indivíduo relatar imediatamente eventuais incidentes, suspeitas de violação e oportunidades de melhoria contínua.

Para garantir a integridade da operação, cada colaborador deve seguir rigorosamente as seguintes diretrizes:

apoiando os processos de avaliação de risco e a aplicação dos mecanismos de controle estabelecidos.

sob responsabilidade do CREF11/MS exclusivamente para fins profissionais, de maneira lícita, ética e em conformidade com as normas internas.

credenciais de sistemas de forma estritamente pessoal e intransferível, sendo vedado o compartilhamento entre colaboradores ou com terceiros.

de trabalho (sede, seccionais ou home office), bloqueando a tela dos dispositivos ao se ausentar e mantendo documentos sensíveis protegidos.

conselheiros, parceiros e colaboradores) em estrita conformidade com a LGPD, limitando o acesso à informação apenas a quem realmente necessita dela para exercer suas funções (*Necessidade de Saber*).

responsabilidades claramente definidas ao utilizar, instalar ou interagir com softwares e serviços de suporte tecnológico.

sobre segurança digital no dia a dia da autarquia, servindo como exemplo de boas práticas.

evento, falha, perda de dispositivo corporativo ou comportamento suspeito relacionado à segurança da informação pelos canais oficiais.

regulatórios, normas do Sistema CONFEF (Conselho Federal de Educação Física)/CREFs e termos contratuais firmados pelo Conselho.

Para garantir que os ativos de informação recebam o nível adequado de proteção conforme sua criticidade, aplicam-se as seguintes regras de classificação no CREF11/MS:

Classificação Descrição Regras de Tratamento

Pública Qualquer informação que a - Validar se a informação é CREF11/MS compartilha segura e apropriada para deliberadamente com o divulgação pública. público externo, incluindo - Avaliar se a publicação pode mídias sociais, comunicados gerar qualquer impacto de imprensa e o site negativo ou reputacional para institucional, mediante a empresa. prévia validação. - Obter aprovação formal de um membro do Comitê de Segurança da Informação e Proteção de Dados antes da publicação.

Privada / Interna Informações circuladas - Caso haja necessidade de rotineiramente entre enviar a informação a colaboradores ou grupos terceiros, priorize canais oficiais restritos que, embora não e seguros; evite o contenham dados compartilhamento por e-mails altamente sensíveis, não de uso pessoal ou links de devem ser expostas nuvem públicos não auditados. externamente. O - O compartilhamento externo compartilhamento com exige justificativa clara e terceiros é restrito e aprovação prévia do condicionado a obrigações Encarregado de Dados (DPO) legais, regulatórias ou ou da Diretoria. contratuais (ex.: auditorias, - Exigir que o destinatário requisições de Titulares de formalize a finalidade de uso Dados). da informação.

marca d'água: “Informação Privada - Uso Interno” e, preferencialmente, converter o arquivo para o formato PDF protegido antes do envio.

telas com essas informações expostos em ambientes de trabalho (política de mesa limpa). Pessoal Qualquer informação - Manter documentos contendo relacionada a uma pessoa dados pessoais estritamente física identificada ou protegidos contra o acesso de identificável, em terceiros não autorizados. conformidade com a LGPD. - Aplicar a marcação: “Dado Inclui, mas não se limita a: Pessoal – Restrito” e converter nome, sobrenome, data de arquivos para formatos seguros nascimento, endereço (como PDF protegido) ao residencial, e-mail compartilhá-los. comercial/pessoal, - Garantir que todas as endereço IP, cargo, CPF, atividades de tratamento de RG, passaporte, entre dados pessoais estejam outros. estritamente alinhadas com a Política de Privacidade do CREF11/MS. Sensível Dados pessoais que, por sua - Armazenar e transmitir com o natureza, exigem proteção mais alto nível de restrição, reforçada devido ao risco proibindo qualquer exposição de discriminação, conforme visual ou física a terceiros. a legislação brasileira - Inserir obrigatoriamente a (LGPD). Abrange: marcação: “Dado Pessoal convicção religiosa, opinião Sensível – Altamente Restrito” e política, filiação a sindicato proteger o documento (ex.: ou a organização de PDF com senha ou caráter religioso, filosófico criptografado). ou político, dados - O tratamento de dados referentes à saúde ou à sensíveis exige a coleta de vida sexual, dados consentimento prévio, livre e genéticos ou biométricos. inequívoco do Titular, ou deve estar estritamente amparado

por uma base legal e regulatória explícita. Confidencial Informações altamente - A informação confidencial não restritas e estratégicas, cujo deve ser compartilhada vazamento pode causar internamente ou sérios prejuízos financeiros, externamente, a menos que operacionais ou jurídicos ao haja necessidade estrita de CREF11/MS. Inclui segredos negócio e aprovação expressa comerciais, dados da diretoria. financeiros, propriedade - É obrigatório criptografar a intelectual, informações informação tanto no privilegiadas ou dados sob armazenamento quanto acordos de durante o trânsito (envio). confidencialidade (NDAs). - Aplicar obrigatoriamente a marcação: “Informação Confidencial – Propriedade do CREF11/MS” e converter para formato PDF com restrições de edição e cópia.

confidencialidade e disponibilidade dos equipamentos fornecidos pelo Conselho.

sob sua posse, devendo adotar as melhores práticas de conservação.

equipamento deve ser guardado no porta-malas ou local não visível para evitar furtos.

de Ocorrência (B.O.) e comunicar sem atraso o gestor direto e a TI do CREF11/MS.

bloquear a tela do computador (atalho `Windows + L` ou `Ctrl + Alt + Del`).

encerrada e o equipamento desligado completamente.

para proteção do dispositivo.

ou alterar configurações sem acompanhamento prévio do suporte de TI.

tenham sido homologados e instalados oficialmente pela TI.

atualizado. Suspeitas de malwares devem ser reportadas imediatamente.

localmente (disco C:). O CREF11/MS garante backup apenas dos dados em pastas de rede ou nuvem corporativa homologadas.

(fotos, vídeos, músicas) nos servidores institucionais.

dispositivos desconhecidos. Notifique a TI se identificar periféricos suspeitos.

conhecidas, desde que protegidas por senha e criptografia segura.

pautados pela ética profissional e foco nas atividades do Conselho.

gerar custos não planejados para a instituição.

partir de dispositivos pessoais é permitido condicionado aos seguintes requisitos:

biometria. Proibidas senhas simples ou padrões previsíveis.

Windows, mac OS) permanentemente atualizado com os últimos patches de segurança.

partir de dispositivos que tenham sofrido modificações não autorizadas no sistema.

local particular ou em nuvens privadas não autorizadas.

oficiais com autenticação multifator (MFA) ativada.

amigos) utilizem o dispositivo enquanto sistemas do CREF11/MS estiverem abertos.

caso de perda/roubo para revogação de acessos e eventual execução de *wipe* remoto restrito aos dados corporativos.

redes.

autorização prévia por escrito.

vulnerabilidades sem permissão oficial do departamento responsável.

de ódio, spam ou arquivos maliciosos.

Para garantir a estabilidade do ambiente tecnológico, a conformidade legal e a proteção contra vulnerabilidades, o ciclo de vida de softwares e hardwares no CREF11/MS segue diretrizes estritas de controle.

ativos do CREF11/MS é de competência exclusiva do Setor de TI ou profissionais credenciados.

homologação.

aplicadas pela TI, não devendo o usuário postergar a execução.

não licenciados ou sem comprovação legal de uso.

sujeitando o infrator às penalidades disciplinares cabíveis.

Para garantir a integridade e a confidencialidade das informações do CREF11/MS, o acesso a qualquer ambiente computacional, sistema corporativo ou base de dados deve ser estritamente controlado, monitorado e protegido por mecanismos de autenticação seguros.

por força bruta ou engenharia social, todos os usuários devem adotar os seguintes critérios de segurança:

maiúsculas (A-Z), minúsculas (a-z), números (0-9) e caracteres especiais (`@`, `#`, `$`, `*`, etc.).

telefones ou sequências óbvias.

cofres de senhas homologados. É proibido anotações em papel ou arquivos não criptografados.

chamado formal na TI para concessão de permissão temporária.

identidade do colaborador.

Para resguardar a infraestrutura crítica e os ambientes de nuvem da CREF11/MS, o acesso a servidores, consoles de gerenciamento, painéis administrativos e serviços centrais de tecnologia é estritamente restrito e controlado.

administrativos (consoles de nuvem, gerenciadores de hospedagem, roteadores, firewalls) e serviços de rede do CREF11/MS é de uso exclusivo dos colaboradores do Departamento de TI devidamente autorizados.

administrativos serão concedidos com base no princípio do privilégio mínimo (least privilege), garantindo que cada técnico possua apenas as permissões estritamente necessárias para a execução de suas funções reguladas.

guardiões dessa infraestrutura e respondem diretamente por:

alta disponibilidade dos servidores e serviços que sustentam a operação da empresa.

sistemas operacionais e correções de firmware nos servidores de forma programada, mitigando vulnerabilidades ativamente.

(como criptografia, firewalls e sistemas de detecção de intrusão) e auditar periodicamente os logs de acessos administrativos para identificar tentativas de acessos não autorizados.

Múltiplos Fatores (MFA/2FA) para todas as contas que possuam privilégios administrativos ou de "Super Usuário" (root/admin) em qualquer painel ou serviço do CREF11/MS.

admin, root, suporte) devem ser evitadas ao máximo. Sempre que possível, o acesso deve ser feito por meio de credenciais nominais para garantir a rastreabilidade e a responsabilização de cada ação executada na infraestrutura.

O correio eletrônico corporativo é uma ferramenta de trabalho e propriedade exclusiva do CREF11/MS. Seu uso deve ser pautado pela ética, profissionalismo e segurança da informação, estando sujeito a monitoramento e auditoria nos termos da legislação vigente.

exclusivamente para fins profissionais e atividades de interesse do negócio.

CREF11/MS se reserva o direito de monitorar, vistoriar e auditar o conteúdo de todas as mensagens enviadas, recebidas ou armazenadas em seus servidores, para fins de conformidade legal, segurança ou investigações internas. O colaborador não deve ter expectativa de privacidade no uso deste recurso.

serviços de e-mail externos ou pessoais (tais como Gmail, Outlook/Hotmail, Yahoo, etc.) para a condução de negócios, envio de documentos ou comunicação oficial do CREF11/MS ou de seus clientes. Toda a comunicação eletrônica profissional deve ocorrer obrigatoriamente através do domínio oficial da empresa.

corporativo para enviar mensagens de cunho estritamente pessoal, bem como correntes, boatos, piadas, conteúdos políticos, religiosos ou qualquer material que possa comprometer a reputação e a imagem do CREF11/MS perante clientes, fornecedores e a comunidade.

mensagens em massa não solicitadas (spam). O disparo de comunicados legítimos para grandes volumes de destinatários externos deve ser avaliado e homologado previamente pela equipe de TI ou marketing para evitar o bloqueio do domínio da empresa em listas de rejeição (blacklists).

ao receber mensagens de origens duvidosas ou não cadastradas. Caso identifique indícios de phishing, spoofing ou fraudes, a mensagem não deve ser respondida nem seus links clicados, devendo o fato ser reportado imediatamente à TI.

arquivos anexos enviados por remetentes desconhecidos ou que apresentem comportamento suspeito. Atenção redobrada deve ser dada a extensões de arquivos historicamente ligadas a códigos maliciosos, tais como: .bat, .exe, .scr, .lnk, .com, .vbs, .js, ou qualquer outro formato alertado pelo suporte de TI.

ferramentas de e-mail (como o Microsoft Outlook) e otimizar o espaço de armazenamento nos servidores, o colaborador deve manter sua caixa limpa e organizada.

duplicados, mensagens de propaganda/newsletter sem utilidade prática e o arquivamento seguro ou exclusão de mensagens antigas que contenham anexos excessivamente volumosos, priorizando o salvamento desses documentos nos repositórios oficiais em nuvem da empresa.

A infraestrutura de rede e o acesso à internet fornecidos pelo CREF11/MS são ferramentas de trabalho destinadas ao cumprimento das atividades profissionais. O uso desses recursos deve ser pautado pela ética, conformidade legal e responsabilidade cibernética.

armazenada ou produzida por meio da rede de internet da empresa está sujeita a auditoria. O CREF11/MS, em total conformidade com a legislação vigente, reserva-se o direito de monitorar, filtrar e registrar todos os logs de navegação e acessos realizados a partir de seus dispositivos e redes.

dos dados, a disponibilidade dos sistemas, o desempenho operacional e a proteção do perímetro tecnológico contra ameaças externas. O colaborador não deve ter expectativa de privacidade ao navegar na internet utilizando os recursos da empresa.

desativar ou alterar os parâmetros de segurança da rede, firewalls, proxies ou sistemas de filtragem web estabelecidos pela empresa.

colaboradores sem o devido credenciamento técnico e autorização formal da

equipe de TI serão classificadas como conduta inadequada. Tais atos serão reportados imediatamente ao respectivo gestor e à Diretoria para a avaliação dos riscos gerados à organização.

compartilhamento ou exposição indevida de dados corporativos, segredos de negócio ou informações confidenciais do CREF11/MS e de seus clientes em fóruns públicos, listas de discussão, plataformas de inteligência artificial não homologadas, comunidades virtuais, salas de bate-papo, redes sociais ou comunicadores instantâneos particulares.

relacionados às operações e negócios da empresa deve seguir estritamente os canais e fluxos de aprovação institucionalmente estabelecidos.

do CREF11/MS para propagar deliberadamente qualquer tipo de código malicioso (vírus, worms, cavalos de Troia, ransomwares), mensagens em massa não solicitadas (spam), ou ferramentas de varredura e controle remoto de computadores terceiros sem autorização.

prática de atividades ilícitas, assédio, perturbação da ordem ou crimes cibernéticos resultará em sanções administrativas e contratuais imediatas. Nesses casos, o CREF11/MS cooperará ativa e plenamente com as autoridades competentes no âmbito de processos civis e criminais.

Todos os colaboradores do CREF11/MS devem zelar pela proteção das instalações, infraestrutura e equipamentos da empresa contra destruição, perda, sabotagem ou uso indevido, mitigando ativamente o risco de acessos não autorizados a áreas críticas.

As instalações do CREF11/MS são divididas em zonas de segurança, exigindo medidas proporcionais ao nível de risco e à sensibilidade das informações tratadas em cada ambiente:

Nível de Segurança Área Descritiva Medidas de Controle de Acesso

Áreas de circulação por meio de crachá comum e recepção institucional. Acesso limitado ou de público externo. restrito após o horário regular Exemplos: Lobby, de expediente. VERDE (Geral) recepção, copa, do Coworking. - Controle, identificação e registro obrigatório de entrada e saída de visitantes na recepção.

Áreas internas de - Aplicação integrada de todas operação onde as medidas descritas no Nível trafegam informações Verde. corporativas e dados - Obrigatoriedade de pessoais. acompanhamento integral de visitantes por um colaborador AMARELO (Restrito) Exemplos: Espaço do responsável. Coworking do

CREF11/MS: mesas de necessidade de assinatura de trabalho, áreas Termo de Confidencialidade operacionais e (NDA) pelo visitante. departamentos técnicos.

Áreas de alta − Delimitação estrita e VERMELHO criticidade isolamento físico do perímetro. VERMELHO (Crítico) tecnológica ou − Exigência de autorização documental, que especial, biometria, chaves

exigem barreiras físicas físicas restritas ou credenciais reforçadas. magnéticas específicas. − Manutenção obrigatória de Exemplos: sala de portas trancadas em tempo servidores, integral, mesmo durante o uso departamento de ou ausências breves. recursos humanos, financeiro.

Para a manutenção do perímetro de segurança, os colaboradores devem cumprir rigorosamente as seguintes obrigações:

visivelmente seu crachá de identificação ao acessar, transitar ou sair das dependências do CREF11/MS. O crachá é estritamente individual e intransferível. É expressamente proibido ceder ou emprestar o crachá a terceiros.

colaborador deve notificar imediatamente o Departamento de TI (ou a equipe de segurança patrimonial) para o bloqueio e desativação remota imediata do dispositivo, visto que ele possui funcionalidade de chave de acesso lógico/físico.

terceiro a uma sala de reunião ou área de trabalho, o colaborador deve inspecionar o ambiente para garantir a inexistência de informações sigilosas expostas, tais como anotações em quadros brancos, documentos impressos sobre mesas ou telas de computadores desbloqueadas.

obrigatoriamente, se apresentar, identificar-se por meio de documento oficial com foto e efetuar o cadastro na recepção antes de adentrar as áreas internas.

e acompanhá-lo continuamente durante toda a sua permanência no

estabelecimento, garantindo que o mesmo não transite desacompanhado ou acesse zonas restritas (Níveis Amarelo e Vermelho) sem autorização.

Para mitigar o risco de exposição inadvertida, vazamento ou acesso não autorizado a dados corporativos, pessoais ou confidenciais, o CREF11/MS adota a Política de Mesa Limpa e Tela Limpa, aplicável a todos os postos de trabalho, escritórios, salas de reunião e ambientes de home office.

dados pessoais expostos na tela de seu computador. Ao se ausentar de sua estação de trabalho por qualquer período, o usuário deve bloquear obrigatoriamente a tela (atalho Windows + L ou Ctrl + Alt + Del).

áreas de grande circulação, cafeterias, aeroportos ou espaços públicos, garantindo que terceiros não consigam visualizar dados sensíveis na tela (recomenda-se o uso de películas de privacidade).

pendrives e HDs externos) ou dispositivos contendo informações confidenciais ou sensíveis devem ser deixados expostos sobre as mesas de trabalho durante a ausência do colaborador ou ao término do expediente.

em gaveteiros, armários ou lockers trancados a chave sempre que o profissional se ausentar do seu posto.

ser retirados da bandeja da impressora imediatamente após a execução do comando. É expressamente proibido deixar impressões abandonadas em equipamentos de uso compartilhado.

colaborador responsável deve inspecionar a sala e garantir que nenhum documento ou anotação física tenha sido deixado para trás. Dados escritos em lousas, quadros brancos ou painéis devem ser devidamente apagados antes da liberação do espaço.

contenham informações confidenciais, segredos de negócio ou dados de clientes não devem ser descartados em lixeiras comuns. Eles devem ser obrigatoriamente fragmentados (picotados) ou eliminados por meio de processos de descarte seguro homologados pelo CREF11/MS.

O CREF11/MS incentiva e apoia a prática do teletrabalho (ou home office), reconhecendo seus benefícios para a flexibilidade na rotina e a qualidade de vida dos colaboradores. Do ponto de vista operacional, o trabalho remoto constitui uma ferramenta indispensável de continuidade de negócios. Contudo, essa modalidade amplia o perímetro de segurança, exigindo responsabilidade redobrada na proteção dos ativos de informação contra acessos não autorizados e vazamentos de dados.

Para mitigar esses riscos, todo colaborador em regime de teletrabalho deve seguir rigorosamente as seguintes diretrizes:

que ofereça privacidade adequada para o manuseio de informações. Deve-se evitar a atuação em espaços públicos ou de grande circulação onde telas, documentos ou conversas profissionais fiquem expostos a terceiros.

se integralmente ao ambiente residencial. Documentos físicos de trabalho não devem ser deixados expostos e a tela do computador deve ser bloqueada sempre que o usuário se ausentar.

devem ser guardados em local seguro dentro da residência. Evite o transporte desnecessário do equipamento para locais públicos de alta exposição.

CREF11/MS destinam-se única e exclusivamente à execução de atividades profissionais da empresa. É terminantemente proibido o empréstimo de equipamentos corporativos a terceiros, incluindo familiares e amigos, bem como seu uso para fins pessoais.

redes Wi-Fi residenciais protegidas por senha forte e criptografia atualizada. É proibido o uso de redes públicas ou abertas (sem senha) para trafegar dados corporativos, salvo mediante o uso obrigatório de VPN corporativa.

desligado completamente ao término do expediente ou em períodos prolongados de inatividade, impedindo que permaneça vulnerável na rede ou acessível de forma física.

redobrados em ambiente remoto. Credenciais de acesso jamais devem ser compartilhadas ou anotadas em locais visíveis.

preparado para lidar com eventuais incidentes técnicos ou de segurança.

por malware, falha física no computador, perda ou roubo do ativo, o colaborador deve contatar imediatamente a equipe de suporte de TI do CREF11/MS e seu gestor direto por meio dos canais oficiais de comunicação em contingência.

O CREF11/MS adota o Microsoft Teams como sua plataforma oficial e exclusiva para a criação, agendamento e condução de reuniões virtuais internas ou com parceiros externos.

Nota de Exceção: é permitida a participação de colaboradores em reuniões virtuais hospedadas em outras plataformas (como Zoom, Google Meet, Webex, etc.), desde que

a reunião seja organizada e convocada por terceiros (clientes ou fornecedores) e seja estritamente necessária para o andamento dos negócios. Mesmo em ambientes externos, o colaborador continua obrigado a seguir as diretrizes de segurança descritas nesta política.

Para mitigar o risco de vazamento inadvertido de dados e garantir a segurança e o profissionalismo nas comunicações, aplicam-se as seguintes precauções:

videoconferência, o colaborador deve garantir que o local escolhido atenda a critérios rígidos de privacidade. Certifique-se de que terceiros não possam ouvir conversas confidenciais ou visualizar informações estratégicas ao fundo.

fundo (blur) ou planos de fundo virtuais institucionais fornecidos pelo CREF11/MS para preservar o ambiente doméstico e evitar a exposição de elementos externos.

arquivos estão abertos no computador antes de iniciar o compartilhamento de tela. Garanta que apenas os conteúdos estritamente necessários à pauta da reunião fiquem visíveis para os demais participantes.

de forma irrestrita. No menu de compartilhamento do Teams (ou da plataforma utilizada), priorize selecionar uma janela específica do aplicativo (ex.: apenas o slide da apresentação ou o documento em debate) para impedir a exibição acidental de notificações de e-mail, chats internos ou dados de outros clientes.

reunião, validando o funcionamento dos recursos de áudio, vídeo, qualidade de conexão e estabilidade do conteúdo que será apresentado, evitando interrupções operacionais.

mediante a anuência expressa de todos os participantes e caso haja uma

justificativa legítima de negócio. Arquivos de reuniões gravadas contendo dados sensíveis ou decisões estratégicas devem ser armazenados estritamente nos repositórios protegidos do CREF11/MS (SharePoint/OneDrive corporativos) e descartados assim que perderem a utilidade.

O acesso e o uso de redes sociais (como LinkedIn, Instagram, Facebook, TikTok, entre outras) integram o cotidiano corporativo e pessoal. Embora sejam ferramentas valiosas para atração de talentos, posicionamento de mercado e pesquisas, seu uso inadequado expõe a organização e os indivíduos a riscos cibernéticos, jurídicos e reputacionais severos.

Os colaboradores devem estar cientes de que as redes sociais são vetores frequentes para ameaças à segurança. Os principais riscos incluem:

negócio e dados de clientes.

corporativos/pessoais e invasão de contas.

(phishing), códigos maliciosos e instalação involuntária de malwares.

empresa, de seus colaboradores ou de parceiros.

leis de privacidade e proteção de dados.

Para mitigar os riscos listados, a utilização de redes sociais no ambiente de trabalho ou a menção à empresa em perfis pessoais deve seguir rigorosamente as seguintes recomendações:

compartilhar ou endossar conteúdos, opiniões ou comentários que possam comprometer, denegrir ou prejudicar a imagem, os valores e a reputação do CREF11/MS, de seus clientes, fornecedores ou colaboradores.

qualquer informação interna de negócio, estratégias comerciais, fotos de ambientes internos de trabalho, projetos em desenvolvimento ou dados de clientes sem a autorização prévia e expressa da Diretoria do CREF11/MS.

de cada indivíduo, recomenda-se fortemente que o colaborador evite engajar-se de forma pública em debates, discussões ou publicações que provoquem conflitos, discursos de ódio, assédio ou mal-estar com terceiros nas redes.

informações do CREF11/MS. É de total e exclusiva responsabilidade do colaborador qualquer conteúdo, dado, imagem ou opinião compartilhada por ele nas mídias sociais.

ao Departamento de TI ou ao Comitê de Segurança da Informação e Proteção de Dados qualquer situação, suspeita de vazamento, invasão de perfil corporativo ou atividade anômala que possa colocar em risco as informações ou a imagem do CREF11/MS.

O uso incorreto ou indiscriminado de aplicativos de mensageria instantânea (como WhatsApp, Telegram, entre outros) representa um dos maiores vetores de vazamento de dados, infecção por malware e incidentes de engenharia social. Para garantir a segurança das comunicações e a conformidade legal, aplicam-se as seguintes regras no CREF11/MS:

exclusiva para a comunicação interna, troca de mensagens diárias e alinhamento de rotinas operacionais no CREF11/MS.

contas pessoais de WhatsApp) para a condução de atividades rotineiras,

armazenamento de históricos de projetos ou comunicações oficiais do CREF11/MS.

compartilhamento ou encaminhamento de qualquer informação classificada como Confidencial ou Sensível (incluindo relatórios financeiros, dados pessoais de colaboradores/clientes, senhas, códigos-fonte ou segredos comerciais) por meio de aplicativos de mensageria públicos.

encaminhar ou divulgar, por qualquer canal de mensagens, conteúdos que possam comprometer a reputação, a imagem ou os valores do CREF11/MS, de seus parceiros de negócios ou de seus clientes.

ferramenta culturalmente disseminada no mercado brasileiro para o contato com clientes e fornecedores. No entanto, o seu uso para fins profissionais é restrito e deve ocorrer, preferencialmente, por meio de contas institucionais (WhatsApp Business) e limitado a comunicações operacionais não confidenciais.

contratos ou termos de negócios discutidos preliminarmente via aplicativos de mensagens devem ser obrigatoriamente formalizados e registrados por canais oficiais, como o e-mail corporativo ou ferramentas de gestão homologadas pelo CREF11/MS.

A Engenharia Social é uma técnica de manipulação psicológica baseada na exploração da boa-fé, da confiança, da curiosidade ou do senso de urgência das pessoas. O objetivo do atacante (engenheiro social) é induzir o colaborador a realizar ações específicas ou a revelar informações sigilosas que possibilitem, facilitem ou contornem os mecanismos de segurança para obter acesso não autorizado aos recursos computacionais da organização.

Os atacantes geralmente buscam obter dados que parecem inofensivos isoladamente, mas que estruturam ataques complexos, tais como:

antivírus ou softwares utilizados);

financeiros do CREF11/MS.

Os contatos de engenharia social podem ocorrer por múltiplos canais, sendo os mais comuns:

falsificar a origem de uma comunicação para fazer com que ela pareça vir de uma fonte confiável (como a própria diretoria do CREF11/MS, um cliente importante ou uma instituição financeira). O spoofing pode ser aplicado para adulterar o cabeçalho de e-mails (Email Spoofing), falsificar números de telefone em chamadas ou SMS (Caller ID Spoofing) ou criar páginas de internet idênticas às originais (Web Spoofing), induzindo o colaborador ao erro.

se passa por um técnico de suporte de TI, um auditor, um fornecedor, ou até mesmo um colega de trabalho ou diretor. Centralizadas ou falsificadas, essas ligações usam dados previamente coletados para simular intimidade e legitimidade.

mensagens em aplicativos (WhatsApp/Telegram) simulando comunicações oficiais de bancos, órgãos governamentais ou do próprio CREF11/MS. Frequentemente contêm falsos alertas de segurança, atualizações obrigatórias de senhas, ou iscas como prêmios, heranças e oportunidades comerciais urgentes.

locais de circulação (como cafés e restaurantes próximos ao escritório), onde o atacante tenta ganhar simpatia ou aplicar técnicas como o tailgating (entrar em

áreas restritas pegando "carona" na abertura de portas por colaboradores autorizados).

Para neutralizar as tentativas de engenharia social, todos os colaboradores do CREF11/MS devem adotar uma postura de ceticismo saudável e seguir rigorosamente as seguintes precauções:

seja interna ou externa, que solicite o fornecimento de informações confidenciais, dados pessoais ou credenciais de acesso, principalmente se houver tom de urgência ou ameaça de bloqueios.

parceira, banco, cliente ou fornecedor solicitando dados ou confirmações suspeitas, não forneça as informações. Informe que retornará o contato e utilize exclusivamente os canais e números de telefone oficiais obtidos no site público da respectiva instituição, jamais retornando para o número que originou a chamada ou fornecido pelo interlocutor.

cliques em links ou download de anexos, analise minuciosamente o endereço de e-mail do remetente (após o caractere @). Verifique se o domínio coincide perfeitamente com a página oficial da internet da empresa correspondente e se não há erros ortográficos sutis (como substituição de letras).

corporativas, relatórios ou dados confidenciais do CREF11/MS e de seus clientes para e-mails de domínios públicos (como @gmail.com, @hotmail.com, @yahoo.com), mesmo que a solicitação pareça vir de um conhecido.

de abordagem por engenharia social deve ser reportada imediatamente ao Departamento de TI e ao Comitê de Segurança da Informação e Proteção de Dados do CREF11/MS para que os alertas e bloqueios preventivos sejam aplicados a toda a companhia.

A reprodução física de informações por meio de impressão ou cópia impressa aumenta significativamente o risco de exposição inadvertida e vazamento de dados. Quando houver a necessidade legítima de imprimir documentos que contenham informações classificadas como confidenciais, internas, pessoais ou sensíveis, o colaborador deverá adotar rigorosamente as seguintes medidas de controle:

corporativas restritas ou dados de clientes não deve ficar exposto sobre mesas ou estações de trabalho. Ele deve ser catalogado e armazenado obrigatoriamente em pastas, armários, arquivos de aço ou lockers devidamente trancados a chave.

responsabilidade do colaborador ou do gestor da área, devendo ser guardadas de forma a impedir o acesso de pessoas não autorizadas.

documentos impressos com dados confidenciais ou pessoais em lixeiras de lixo comum, cestos de reciclagem abertos ou áreas de rascunho.

utilidade operacional ou legal, o colaborador deverá destruí-lo imediatamente utilizando fragmentadoras de papel (picotadoras) ou depositá-lo nos coletores fechados destinados ao processo de descarte seguro homologado pelo CREF11/MS. O objetivo é garantir que o papel seja rasgado ou descaracterizado de forma irreversível para evitar qualquer tipo de vazamento ou reconstrução das informações.

malote ou retirar das dependências do CREF11/MS qualquer tipo de documentação física contendo informações confidenciais ou segredos de negócio sem a autorização prévia, formal e expressa da Diretoria.

autorizado, o colaborador responsável pela movimentação deve registrar formalmente o fluxo (quem solicitou, qual o documento, quem autorizou e o destino), garantindo a devida custódia e responsabilidade pelo ativo durante o trânsito.

A integridade e a disponibilidade dos dados são pilares críticos para a continuidade das operações do CREF11/MS. Para mitigar os riscos de perda de dados decorrentes de falhas de hardware, ataques cibernéticos (como ransomware), erros humanos ou desastres naturais, a empresa adota uma política estrita de cópias de segurança (backups).

oficiais do CREF11/MS contam com um cronograma estruturado de backup automatizado, gerenciado e monitorado continuamente pela equipe do Departamento de TI.

específico, plataforma legada ou software homologado que, por limitações técnicas, não esteja integrado ao processo de backup automático e centralizado do CREF11/MS, o administrador ou gestor responsável por esse sistema assume a obrigação de:

manual ou descentralizado com frequência adequada à criticidade dos dados;

seguindo as diretrizes de segurança da empresa;

dados (restore) para garantir a eficácia e a legibilidade das cópias em caso de incidentes.

informação que seja delegada a fornecedores terceiros, incluindo rotinas externas de backup, armazenamento em nuvem contratada de forma independente ou processos de restauração de bases de dados, deve ser obrigatoriamente acompanhada, auditada e validada pelo administrador do sistema no CREF11/MS.

rigorosamente os requisitos de segurança, níveis de serviço (SLAs), tempos de recuperação (RTO/RPO) e cláusulas de confidencialidade especificados nos contratos formais estabelecidos entre o CREF11/MS e o prestador de serviço, estando também em total conformidade com a legislação vigente de proteção de dados.

Dispositivos e ativos de hardware (tais como computadores, notebooks, servidores, smartphones, tablets, storages, pendrives e HDs externos) armazenam volumes significativos de informações confidenciais, segredos de negócio e dados pessoais em suas memórias e unidades de armazenamento local. Com o ciclo de obsolescência tecnológica, o CREF11/MS realiza a substituição periódica desses equipamentos

Para mitigar o risco de vazamento de dados decorrente do descarte ou da doação de ativos antigos, nenhum equipamento tecnológico corporativo pode ser descartado, doado, leiloado ou devolvido a fornecedores de locação (leasing) sem passar por um processo formal e auditável de eliminação de dados.

fim de sua vida útil operacional deve ser obrigatoriamente devolvido e entregue à custódia do Departamento de TI do CREF11/MS.

gestores ou terceiros realizem o descarte direto, doação ou destinação de componentes eletrônicos por conta própria, sob pena de sanções administrativas e disciplinares.

Antes que qualquer ativo saia definitivamente das dependências da empresa, a equipe de TI deve aplicar métodos rígidos de apagamento seguro, adequados ao destino do equipamento:

reaproveitados, doados ou devolvidos para empresas de locação, a TI deve aplicar softwares de sobregravação de dados (data wiping) homologados pelo mercado. A simples exclusão de arquivos ou a formatação padrão do sistema operacional não são aceitas, pois permitem a recuperação posterior dos dados por meio de ferramentas forenses.

fitas de backup ou mídias de armazenamento que apresentem defeitos físicos ou que tenham contido dados de altíssima confidencialidade, deve-se proceder com a destruição física irreversível. Isso inclui processos de desmagnetização (degaussing), perfuração ou trituração mecânica do componente, impossibilitando qualquer tentativa de leitura ou reconstrução.

confidencial foi permanentemente eliminada, o hardware remanescente deve ser encaminhado exclusivamente para empresas especializadas em reciclagem de lixo eletrônico (e-waste) devidamente licenciadas pelos órgãos ambientais competentes.

descarte o Certificado de Destruição Segura e Ecológica, assegurando que o processo seguiu tanto os critérios de segurança da informação quanto as normas de responsabilidade socioambiental.

Comitê de Segurança da Informação e Proteção de Dados:

legislação em vigor;

alteração;

política e garantir que as ações corretivas sejam tomadas para remediar qualquer tipo de deficiência.

Data Protection Officer (DPO) ou Encarregado de Dados

legislação em vigor;

apropriado de documentos relacionados a esta política;

Comitê de Segurança da Informação e Proteção de Dados;

deficiências ou incidentes reportados com o apoio do Comitê de Segurança da Informação e Proteção de Dados.

Diretor ou Gerente de TI

as novas ferramentas tecnológicas a serem utilizadas para avaliação;

de risco de vazamento de Dados Pessoais;

atender eventos que comprometam a segurança da informação;

Assessoria Jurídica

para os segmentos, áreas de suporte e controle;

nas leis e regulamentações aplicáveis.

Auditoria Externa

controles;

Pessoais.

Colaboradores

evento de não conformidade com a legislação vigente ou com os princípios desta política;

expostos;

controle, seja contrário aos princípios desta Política, à legislação em vigor e aos princípios da ética, moral e bons costumes;

CREF11/MS durante o período de emprego ou serviço.

Em caso de dúvidas ou preocupação sobre como agir apropriadamente, ou se souber de alguma atividade que saia dos padrões éticos desta Política, sugerimos utilizar os seguintes canais:

Converse com o seu superior imediato: ele é o seu principal orientador. Sugerimos que, se não for lhe causar nenhum desconforto, você converse primeiro com o seu superior

imediato. Ele poderá responder algumas das suas perguntas relacionadas ao dia a dia no trabalho e assuntos que envolvam esta política.

Contate o DPO: em caso de dúvidas, eventos relacionados a vazamento da informação ou requerimentos relacionados a Lei Geral de Proteção de Dados.

Não Retaliação: é proibida qualquer retaliação contra qualquer pessoa que, de boa-fé denuncie atividade ou comportamento que acredite ser ilegal, antiético ou uma violação de nossas políticas. A retaliação é contra os valores do CREF11/MS e não será tolerada.

As solicitações de práticas de atos que possam ser considerados como regras de exceção ou que, por não estarem bem definidos, necessitem de ajustes na aplicação e interpretação desta política, deverão ser feitas de forma escrita para o DPO do CREF11/MS. O pedido será analisado e, se aprovado pelo DPO, o Comitê de Segurança da Informação e Proteção de Dados tomará a decisão final sobre a exceção e interpretação do fato e seu devido enquadramento.

O CREF11/MS não tolera de forma direta ou indireta nenhum tipo de prática antiética ou ilícita que viole os direitos de privacidade de cada Titular. Qualquer violação da Lei aplicável ou desta política poderá causar graves danos ao CREF11/MS e aos seus dirigentes e, como resultado, poderia ensejar a aplicação de penalidades disciplinares, multas, ações judiciais e processos administrativos.

Assim sendo, a violação da lei aplicável e/ou desta política por qualquer Colaborador ou empresa vinculado ao CREF11/MS, ensejará sanções disciplinares, com a gradação da sanção conforme a infração praticada, a qual poderá resultar em advertência, demissão por justa causa, rescisão do contrato de fornecimento ou prestação de serviços e responsabilização pela indenização dos danos causados, inclusive com o infrator podendo ser levado às autoridades policiais e judiciais, se a infração for configurada como criminosa.

O CREF11/MS deve documentar, arquivar e guardar os registros das atividades desenvolvidas e decisões proferidas em procedimentos administrativos ou judiciais decorrentes da aplicação desta Política, no prazo legal, em conformidade com a legislação aplicável da jurisdição onde opera.

Versão Data de Autor Razão da emissão emissão V1.0 15/08/2026 J. Musso Preparação da nova versão